English
Nederlands
DeutschFinanzen und Immobilien
Backup und Disaster Recovery für Banken und Versicherungen
Mindtime sichert Datenbanken, Server und Microsoft 365 als unveränderliche, verschlüsselte Kopien in eigenen Tier-III-Rechenzentren in Deutschland und den Niederlanden. Dazu kommt eine Air-Gap-Kopie. Die Wiederherstellung läuft in einer isolierten Umgebung, und Failover-Tests finden jedes Quartal statt. Ihr IKT-Risikomanagement erhält so Belege für die eigene Dokumentation.
Auf Deutsch, Niederländisch oder Englisch.
- DE · NLGespeichert ausschließlich in eigenen Tier-III-Rechenzentren in Deutschland und den Niederlanden
- UnveränderlichObject-Lock-Speicher plus eine Air-Gap-Kopie; wir prüfen jeden Backup-Job
- ISO 27001 · NEN 7510Zertifiziert nach ISO 27001 und NEN 7510, der niederländischen Norm für Informationssicherheit im Gesundheitswesen; ein AVV zu jedem Vertrag
- DE · NL · ENSupport von Menschen, kein Callcenter im Ausland, keine Chatbots
Die kurze Antwort
Banken und Versicherer brauchen Backups, die getrennt von der Produktion liegen und regelmäßig getestet werden. Artikel 12 DORA verlangt dokumentierte Backup-Verfahren und eine Wiederherstellung auf physisch und logisch getrennten Systemen. Mindtime speichert unveränderliche, verschlüsselte Kopien in eigenen Rechenzentren in Deutschland und den Niederlanden und prüft jeden Backup-Job.
Was auf dem Spiel steht
Diese Daten darf ein Finanzunternehmen nicht verlieren
Bestandsführung und Kontoführung
Die Datenbank mit Verträgen, Salden und Beitragszahlungen ist der einzige Nachweis, wer was schuldet. Fehlt ein Tag an Änderungen, müssen Mitarbeiter Buchungen, Policen und Prämien aus Belegen und Korrespondenz nachbauen.
Leistungsakten und Kundenkorrespondenz
Schadenakten, Kreditunterlagen und der Schriftverkehr dazu liegen in Exchange, SharePoint und auf Dateiservern. Ohne diese Dokumente lässt sich keine Entscheidung begründen, weder gegenüber dem Kunden noch gegenüber der Aufsicht.
Nachweise für die Aufsicht
Wer Backup-Verfahren dokumentiert, muss auch belegen, dass sie funktionieren. Testprotokolle, Aufbewahrungsfristen und Wiederherstellungsnachweise gehören in die Unterlagen, die Prüfer und die BaFin sehen wollen.
Regeln und Pflichten
Was DORA, KWG und HGB von Banken und Versicherern verlangen
Zusammengefasst aus den Quellen am Ende dieser Seite. Das ist eine allgemeine Information und keine Rechtsberatung.
Artikel 12 DORA: Backup und Wiederherstellung
Finanzunternehmen entwickeln und dokumentieren Richtlinien und Verfahren für die Datensicherung sowie Verfahren zur Wiederherstellung. Die Backup-Verfahren sind regelmäßig zu testen. Stellt das Unternehmen Daten mit eigenen Systemen wieder her, müssen diese Systeme vom Quellsystem physisch und logisch getrennt sein. Unternehmen, die keine Kleinstunternehmen sind, halten außerdem redundante IKT-Kapazitäten vor. [1]
DORA gilt seit dem 17. Januar 2025
Die BaFin schreibt, dass Finanzunternehmen aus allen Branchen DORA seit dem 17. Januar 2025 anwenden müssen. Die Verordnung enthält Vorgaben zum IKT-Risikomanagement, zur Meldung von IKT-Vorfällen, zu Resilienztests und zum Umgang mit IKT-Drittdienstleistern. [2]
IKT-Drittdienstleister: Informationsregister und Ausstiegsstrategie
Nach der BaFin erfassen Finanzunternehmen ihre IKT-Vertragsbeziehungen in einem Informationsregister und überwachen das Risiko über die gesamte Laufzeit. Unterstützt ein Dienstleister kritische oder wichtige Funktionen, braucht das Unternehmen eine Ausstiegsstrategie. Ein Backup-Anbieter gehört in dieses Register. [3]
§ 25a KWG: Notfallmanagement für IT-Systeme
Kreditinstitute müssen nach § 25a Abs. 1 Satz 4 Nr. 5 KWG ein angemessenes Notfallmanagement festlegen, insbesondere für IT-Systeme. Angemessenheit und Wirksamkeit sind regelmäßig zu überprüfen (Satz 6). [4]
§ 257 Abs. 4 HGB: zehn Jahre für Buchungsbelege
Für Handelsbücher, Inventare und Jahresabschlüsse gilt eine Aufbewahrungsfrist von zehn Jahren. Buchungsbelege bewahren die meisten Unternehmen acht Jahre auf. Kreditinstitute, Versicherer unter Versicherungsaufsicht und Wertpapierinstitute müssen sie zehn Jahre aufbewahren. Die Frist beginnt mit dem Schluss des Kalenderjahres. [5]
Wenn etwas schiefgeht
Wenn die Angreifer auch die Snapshots löschen
Beispiel: Ein regionaler Versicherer betreibt seine Bestandsführung auf virtuellen Servern. Ransomware verschlüsselt die Produktion und löscht die lokalen Snapshots, weil der Angreifer Administratorrechte im Hypervisor erlangt hat. Die unveränderlichen Kopien in einem Mindtime-Rechenzentrum lassen sich so nicht löschen. Das Team stellt die Server in einer isolierten Umgebung wieder her, lässt die Kopien vorher auf Malware scannen und dokumentiert jeden Schritt für den Vorfallbericht. Mit der Option Disaster Recovery übernimmt Standby-Infrastruktur den Betrieb, während die eigene Umgebung bereinigt wird.
So schützt Mindtime Ihre Daten
Backup für Banken und Versicherungen, Workload für Workload
- Disaster RecoveryStandby-Infrastruktur und vierteljährliche Failover-Tests geben Ihnen einen getesteten Weg, den Betrieb fortzusetzen, wenn die eigene Umgebung ausfällt.
- Datenbank-BackupVertrags-, Schaden- und Kontodaten liegen meist in SQL Server, Oracle oder PostgreSQL und brauchen konsistente, geprüfte Backups.
- VMware- und Hyper-V-BackupDie meisten internen Fachanwendungen laufen als virtuelle Maschinen, die Sie als Ganzes zurückspielen wollen.
- Microsoft-365-BackupKunden- und Schadenkorrespondenz in Exchange und SharePoint gehört zu den Unterlagen, die Sie vorlegen können müssen.
- Linux-Server-BackupAnwendungs- und Schnittstellenserver laufen oft unter Linux und gehören in dieselbe Backup-Richtlinie wie die Datenbanken.
Ihre Software und was wir darum herum sichern
| Kernbanksystem agree21 (Atruvia) | Kernbanksystem vieler Genossenschaftsbanken. Betreibt Atruvia das System für Sie, prüfen Sie im Vertrag Export- und Aufbewahrungsbedingungen. Mindtime sichert die Server, Dateien und das Microsoft-365-Konto Ihres Hauses, die um das Kernbanksystem herum laufen. |
|---|---|
| Bestandsführung und Antragsdatenbanken (SQL Server, Oracle) | Versicherer führen Verträge und Schäden oft in Datenbanken auf eigenen Servern. Läuft die Software auf Ihrem eigenen Server, sichert Mindtime diesen Server und die Datenbank mit konsistenten, geprüften Backups. |
| VMware oder Hyper-V | Interne Fachanwendungen laufen meist als virtuelle Maschinen. Mindtime sichert die Maschine als Ganzes, sodass Sie sie komplett zurückspielen können. |
| Microsoft 365 (Exchange, SharePoint, OneDrive, Teams) | Kundenkorrespondenz, Schadenmeldungen und Besprechungsunterlagen liegen hier. Mindtime sichert diese Daten außerhalb von Microsoft, damit sie auch nach einem Löschen oder einer Kontoübernahme da sind. |
| Dokumentenarchive auf Dateiservern oder NAS | Gescannte Anträge und Verträge liegen oft auf Dateiservern. Mindtime sichert den Server oder das NAS, auf dem das Archiv läuft. |
Vor dem Wechsel
Was Banken und Versicherer uns zuerst fragen
Erfüllen wir mit Mindtime Artikel 12 DORA?
Nein, das kann kein Anbieter allein. DORA verpflichtet Ihr Unternehmen, Backup-Richtlinien zu dokumentieren, Verfahren zu testen und die Geschäftsleitung einzubinden. Mindtime liefert den technischen Teil: unveränderliche Kopien, eine Air-Gap-Kopie, geprüfte Backup-Jobs, Wiederherstellung in einer isolierten Umgebung und vierteljährliche DR-Tests. Die Richtlinie und die Verantwortung bleiben bei Ihnen.
Wo liegen die Daten und wer hat Zugriff?
Mindtime speichert Daten ausschließlich in eigenen Tier-III-Rechenzentren in Deutschland und den Niederlanden. Die Übertragung ist mit AES-256 verschlüsselt, und administrative Aktionen verlangen MFA. Zu jedem Vertrag gehört ein Auftragsverarbeitungsvertrag. Mindtime ist ISO-27001-zertifiziert.
Wie weisen wir als Aufsichtsobjekt nach, dass die Wiederherstellung funktioniert?
Jeder Backup-Job wird geprüft, und bei Disaster Recovery finden vierteljährliche Tests statt. Der erste Test-Failover läuft in der Regel innerhalb von zehn Tagen nach dem Start. Die Ergebnisse legen Sie zu Ihren Unterlagen für Prüfer und BaFin.
Häufige Fragen
Häufige Fragen zum Backup für Banken und Versicherungen
Was verlangt DORA beim Backup?
Artikel 12 DORA verlangt dokumentierte Richtlinien und Verfahren für Datensicherung und Wiederherstellung. Backup-Systeme müssen sich aktivieren lassen, ohne die Sicherheit der Systeme zu gefährden, und die Verfahren sind regelmäßig zu testen. Bei der Wiederherstellung mit eigenen Systemen müssen diese vom Quellsystem physisch und logisch getrennt sein.
Gilt DORA auch für Versicherungsunternehmen?
Ja. Die BaFin schreibt, dass Finanzunternehmen aus allen Branchen DORA seit dem 17. Januar 2025 anwenden müssen. Welche Unternehmen im Einzelnen betroffen sind und welche vereinfachten Anforderungen für kleinere Unternehmen gelten, klärt die BaFin auf ihrer DORA-Seite. Prüfen Sie dort Ihre Einordnung, bevor Sie Verfahren festlegen.
Wie lange müssen Banken und Versicherer Buchungsbelege aufbewahren?
Zehn Jahre. § 257 Abs. 4 HGB nennt für Buchungsbelege acht Jahre, nimmt aber Kreditinstitute, Versicherer unter Versicherungsaufsicht und Wertpapierinstitute aus: Sie bewahren sie zehn Jahre auf. Die Frist beginnt mit dem Schluss des Kalenderjahres, in dem der Beleg entstand. Stellen Sie die Aufbewahrungsdauer im Backup entsprechend ein.
Fallen Banken und Versicherer unter die NIS2-Richtlinie?
Kreditinstitute stehen in Anlage 1 BSIG unter Bankwesen, Versicherungen stehen dort nicht. Für Finanzunternehmen nach Artikel 2 Absatz 2 DORA gelten die §§ 30, 31, 32, 35, 36, 38 und 39 BSIG nicht (§ 28 Abs. 6 BSIG). Die Risikomanagement- und Meldepflichten kommen dann aus DORA. Mindtime nimmt Ihnen keine Pflichten ab und ersetzt keine Einstufung durch Ihr Haus.
Was gehört in das Informationsregister, wenn wir Mindtime nutzen?
Nach der BaFin erfassen Sie alle IKT-Vertragsbeziehungen in einem Informationsregister. Ein Backup-Dienst gehört dazu, weil er Ihre Daten verarbeitet. Prüfen Sie mit Ihrer Compliance, ob der Dienst kritische oder wichtige Funktionen stützt. Dann brauchen Sie auch eine Ausstiegsstrategie. Den Auftragsverarbeitungsvertrag legen wir jedem Vertrag bei.
Mit Ihren eigenen Daten
15-minütige Demo vereinbaren
Wir zeigen Ihnen ein Backup und eine Wiederherstellung und beantworten Ihre Fragen auf Deutsch, Niederländisch oder Englisch. Kein Callcenter im Ausland, keine Chatbots.